SMS-Pumping-Betrug: Wie AIT funktioniert und wie Unternehmen ihn stoppen können

Bei einem normalen OTP-Ablauf gibt ein Nutzer seine Telefonnummer ein, fordert einen Bestätigungscode an, erhält die SMS und gibt den Code ein, um fortzufahren. SMS-Pumping nutzt denselben Mechanismus für einen anderen Zweck.

Bots oder automatisierte Skripte lösen wiederholt SMS-Anfragen aus. Anstatt echte Nutzer zu repräsentieren, werden Nachrichten an Telefonnummern gesendet, die für den Betrug ausgewählt oder kontrolliert werden. Diese Nummern können in Bereichen, Clustern oder anderen Mustern auftreten, die wahrscheinlich nicht der normalen Kundengewinnung entsprechen.

Entscheidend ist die Absicht: Der Angreifer versucht nicht primär, einen nützlichen Bestätigungscode zu erhalten. Sein Ziel ist es, kostenpflichtigen SMS-Verkehr zu generieren.

Deshalb wird SMS-Pumping üblicherweise unter künstlich aufgeblähtem Datenverkehr zusammengefasst. Der Datenverkehr ist aus Sicht des Nachrichtensystems real – eine Anwendung hat Nachrichten angefordert und das Netzwerk hat sie verarbeitet –, aber die zugrunde liegende Nutzernachfrage ist künstlich.

Die am stärksten gefährdeten Angriffspunkte sind automatisierte Abläufe, die es ermöglichen, dass eine Telefonnummer ohne großen Aufwand eine SMS auslöst, darunter:

- OTP- und Kontoverifizierung

- Anmelde- und Registrierungsformulare

- Passwort zurücksetzen und Kontowiederherstellung

- Aktionscode- oder App-Download-Abläufe

- Benachrichtigungsauslöser und andere automatisierte Messaging-Endpunkte

AIT steht zwar in engem Zusammenhang mit Verifizierungsdatenverkehr, Unternehmen sollten jedoch nicht davon ausgehen, dass OTP das einzige mögliche Ziel ist. Jeder öffentlich zugängliche Workflow, der automatisch kostenpflichtigen SMS-Verkehr erzeugen kann, ist für Angreifer interessant.

Das Verständnis der ökonomischen Zusammenhänge des Angriffs erleichtert die Interpretation der Warnsignale.

Der Anwendungsinhaber bezahlt für den von ihm generierten SMS-Verkehr. Bei einem SMS-Pumping-Schema leitet der Angreifer diesen Verkehr an Empfänger weiter, bei denen die generierten Einnahmen aus dem SMS-Verkehr Parteien zugutekommen, die mit dem betreffenden Rufnummernbereich oder dem nachgelagerten Telekommunikationspfad verbunden sind.

In der Praxis können Umsatzbeteiligungsvereinbarungen Inhaber von Rufnummernbereichen, SMS-Aggregatoren, virtuelle Mobilfunknetzbetreiber (MVNOs) oder andere Teilnehmer der Zustellungskette betreffen. Nicht jeder Anbieter oder Betreiber entlang einer Route ist wissentlich beteiligt; manche können ausgenutzt werden, ohne sich des Betrugs bewusst zu sein. Unternehmen sollten daher nicht davon ausgehen, dass ein wiederholt genutzter Anbieter, Aggregator oder ein Ziel automatisch mitschuldig ist.

Aus Sicht der Anwendung bleibt das Ergebnis jedoch gleich: Sie bezahlt für Nachrichten, die weder echte Nutzer noch eine legitime Nachfrage darstellen.

Dies erklärt auch, warum ein Pumping-Angriff bestimmte Ziele oder Nummernblöcke bevorzugt, anstatt wahllos Adressen an die gesamte Kundenbasis zu senden. Ein konzentrierter Bereich kann für Betrüger wirtschaftlich vorteilhaft sein, selbst wenn er aus Sicht des Anwendungsbetreibers unnatürlich erscheint.

SMS-Marketing kann als plötzlicher Ausbruch erscheinen, moderne automatisierte Informationstechnologie (AIT) kann jedoch auch so langsam verteilt werden, dass sie sich in den normalen Datenverkehr einfügt. Die Überwachung sollte sich daher auf Kombinationen von Signalen und nicht auf einen festen Schwellenwert konzentrieren.

1. Gruppierte oder aufeinanderfolgende Nummernkreise. Eine Häufung von Anfragen an benachbarte oder eng verwandte Telefonnummern ist ein deutliches Warnsignal. Legitime Nutzer weisen normalerweise eine natürlichere Variation auf. Eine Konzentration auf eine bestimmte Vorwahl, einen bestimmten Nummernkreis, einen bestimmten Anbieter oder ein bestimmtes Zielland sollte untersucht werden. Teams sollten sich jedoch nicht allein auf aufeinanderfolgende Nummern verlassen, da versierte Angreifer die Zielnummern über verschiedene Nummernkreise hinweg randomisieren können.

2. Regelmäßige oder maschinenähnliche Anfragemuster. Die menschliche Nachfrage ist in der Regel ungleichmäßig. Bots können ein ungewöhnlich konsistentes Verhalten erzeugen: Verifizierungsanfragen treffen in regelmäßigen Abständen ein, ähnliche Anfragenmengen wiederholen sich über definierte Zeiträume oder derselbe Workflow wird mit geringen Abweichungen ausgelöst. Automatisierung mit geringem Volumen kann besonders schwer zu erkennen sein, da sie möglicherweise nie einen dramatischen Anstieg verursacht.

3. Aktivitäten während Phasen geringer Überwachung. Betrugsversuche können so geplant werden, dass sie in Zeiten fallen, in denen weniger Personal die Betriebsüberwachung überwacht, beispielsweise nachts oder zu anderen Zeiten mit geringer Personalstärke. Der nächtliche Datenverkehr ist an sich nicht verdächtig, aber dieses Muster ist ein Grund dafür, dass Betrugspräventionsmaßnahmen kontinuierlich funktionieren sollten und nicht darauf angewiesen sind, dass jemand ein bestimmtes System bemerkt.

4. Datenverkehr ohne entsprechende Verifizierung oder Geschäftsergebnisse. Steigt das SMS-Volumen, aber die Anzahl abgeschlossener Verifizierungen, Registrierungen, Anmeldungen, Käufe oder anderer erwarteter Nutzeraktionen bleibt aus, sollte der Datenverkehr genauer untersucht werden. Eine zunehmende Diskrepanz zwischen gesendeten Nachrichten und erfolgreichen Nutzeraktionen ist oft aussagekräftiger als das reine Sendevolumen.

5. Unerwartete geografische Herkunft, Mobilfunkanbieter oder Routen. Ein plötzlicher Anstieg aus Ländern, Vorwahlgebieten oder über Routen, die nicht zum üblichen Kundenstamm des Unternehmens gehören, kann auf Missbrauch hindeuten. Geografische Anomalien gewinnen an Bedeutung, wenn sie zusammen mit niedrigen Konversionsraten, gehäuften Anrufen oder ungewöhnlichen Anfragezeiten auftreten.

Diese Signale sollten als Indizien für weitere Untersuchungen betrachtet werden, nicht als eigenständiger Beweis. Neuere AIT-Muster können zudem einen größeren Teil des normalen Benutzerflusses abdecken oder den Datenverkehr auf mehrere Rufnummerngruppen verteilen, was die Erkennung anhand einzelner Regeln weniger zuverlässig macht.

Der offensichtlichste Schaden sind die Kosten für Direktnachrichten. Jede betrügerische Anfrage kann eine kostenpflichtige SMS generieren, ohne dass ein tatsächlicher Kunde gewonnen wird.

Die betrieblichen Auswirkungen reichen jedoch noch weiter.

AIT kann Akquisitions- und Verifizierungsmetriken verfälschen, indem es gefälschte Anfragen in den Funnel einfügt. Die Konversionsraten können sinken, selbst wenn sich das Verhalten legitimer Kunden nicht geändert hat. Die Kosten pro verifiziertem Nutzer können steigen. Nachrichtenberichte werden unübersichtlicher, was es Produkt- und Betriebsteams erschwert, die tatsächlichen Vorgänge zu verstehen.

Groß angelegte Angriffe können auch die Verifizierungsinfrastruktur und den Kundensupport belasten. Reagiert ein Unternehmen mit zu weit gefassten Sperrregeln, können legitime Nutzer von den Maßnahmen betroffen sein und abgelehnte Anfragen, verzögerte Einmalpasswörter (OTP) oder nicht zugängliche Kontowiederherstellungsprozesse erleben.

Daraus ergibt sich der zentrale Zielkonflikt bei der Betrugsprävention: Die Kontrollen müssen stark genug sein, um künstlichen Datenverkehr zu reduzieren, ohne dass die normale Verifizierung zu einem frustrierenden Prozess wird.

Es gibt keine einzelne Kontrollmaßnahme, die jedes AIT-Muster zuverlässig unterbindet. Ein praktikabler Schutz kombiniert Beschränkungen auf Anwendungsebene mit Verkehrsüberwachung und der Auswertung von Nachrichtendaten.

1. Begrenzen Sie die Anzahl der Aktionen, die SMS auslösen. Diese Begrenzungen sollten eingerichtet werden, bevor ein Angreifer wiederholt kostenpflichtigen Datenverkehr generieren kann. Berücksichtigen Sie nicht nur die Telefonnummer. Je nach Anwendung können auch Konto, Sitzung, Gerät, IP-Adresse, Zielpräfix oder andere Anfrageattribute in die Begrenzungen einbezogen werden. Mehrere Kontrollmechanismen erschweren es Bots, eine Regel durch einfaches Ändern der Telefonnummern zu umgehen.

Die Grenzwerte sollten auch den tatsächlichen Nutzerablauf widerspiegeln. Ein echter Kunde benötigt möglicherweise einen erneuten Versuch, aber Dutzende von Codeanfragen in kurzer Zeit stellen selten einen normalen Verifizierungsprozess dar.

2. Bei riskantem Verhalten sollten zusätzliche Hürden eingeführt werden. Der normale Datenverkehr kann wie gewohnt weiterlaufen, während verdächtiges Verhalten eine zusätzliche Abfrage, eine Wartezeit oder ein strengeres Anfragelimit auslösen kann. Dadurch wird vermieden, dass für jeden legitimen Kunden Notfallmaßnahmen angewendet werden müssen.

3. Überwachen Sie das Verhalten von der Anmeldung bis zur Konversion. Eine Bestätigungs-SMS sollte normalerweise zu einem sinnvollen Folgeschritt führen. Verfolgen Sie den Zusammenhang zwischen OTP-Anfragen, erfolgreicher Codeverifizierung, abgeschlossenen Registrierungen und anderen nachfolgenden Aktionen.

Ein Traffic-Anstieg mit hoher Konversionsrate kann auf eine tatsächliche Kampagne oder ein Produkt-Event hindeuten. Ein ähnlicher Anstieg mit fast keiner abgeschlossenen Verifizierung erzählt hingegen eine ganz andere Geschichte.

Bei OTP-basierten Abläufen TopMessage Verify API Kann die Generierung von Einmalpasswörtern (OTP), deren Zustellung, die Codevalidierung, kontrollierte Wiederholungsversuche und die Berichterstattung über die Verifizierung innerhalb eines einzigen Verifizierungsprozesses abwickeln.

4. Nummernprüfungen sollten gezielt eingesetzt werden. Die Nummernvalidierung kann zwar helfen, offensichtlich minderwertige oder ungeeignete Ziele zu identifizieren, sollte aber nicht als vollständige AIT-Lösung betrachtet werden.

Eine einfache Formatprüfung kann nicht erkennen, ob eine korrekt formatierte Nummer zu einem Betrugsfall gehört. Erweiterte Erreichbarkeits-, Netzbetreiber- oder Leitungstypinformationen können zwar nützliche Hinweise liefern, diese Prüfungen sind jedoch mit Kosten verbunden und können von versierten Angreifern angepasst werden.

Die entscheidende Frage ist, ob die zusätzliche Prüfung eine ausreichende Risikominderung für den zu schützenden Datenverkehr bietet. Für eine detailliertere Betrachtung dieses Abwägungsprozesses siehe Telefonnummernvalidierung für SMS: Wann Vorabprüfungen tatsächlich sinnvoll sind Die

5. Beschränken Sie Datenverkehr, für den es keinen geschäftlichen Grund gibt. Wenn ein Unternehmen an einem bestimmten Zielort keine Nutzer oder betrieblichen Bedürfnisse hat, führt die Zulassung unbegrenzten Verifizierungsverkehrs dorthin zu unnötiger Gefährdung.

Geografische, netzbetreiberbezogene, vorwahlbezogene oder workflowbezogene Einschränkungen können sinnvoll sein, wenn sie auf realen Geschäftsanforderungen basieren und regelmäßig überprüft werden. Vermeiden Sie pauschale, dauerhafte Sperrungen aufgrund eines einzelnen Vorfalls, es sei denn, die Geschäftsanforderungen rechtfertigen dies.

Bei Auftreten verdächtigen Datenverkehrs besteht die erste Aufgabe darin, diesen einzudämmen, ohne dabei nützliches Beweismaterial zu vernichten.

Ermitteln Sie zunächst den Workflow, der die Meldungen generiert. Vergleichen Sie den betroffenen Zeitraum mit dem aktuellen Basisverkehr, der Konversionsrate, den Zielländern, Vorwahlen, Netzbetreibern und dem Zeitpunkt der Anfragen. Achten Sie auf Nummerncluster, regelmäßige Anfragemuster und Attribute, die verdächtige Anfragen gemeinsam haben.

Reduzieren Sie anschließend das Risiko durch die wirksamste und schonendste Kontrollmaßnahme. Dies kann bedeuten, die Anforderungslimits vorübergehend zu senken, eine Route oder ein geografisches Gebiet einzuschränken, eine Sicherheitsabfrage im betroffenen Formular hinzuzufügen oder einen bestimmten automatisierten Auslöser zu pausieren.

Vor umfassenden Änderungen sollten Protokolle gesichert werden. Sicherheits-, Produkt-, Betriebs- und Finanzteams benötigen diese Daten möglicherweise später, um zu verstehen, wann der Angriff begann, wie viel Datenverkehr dadurch entstanden ist und ob die Gegenmaßnahmen erfolgreich waren.

Nach der Eindämmung des Problems sollte die alte Konfiguration nicht einfach wiederhergestellt werden. Identifizieren Sie die fehlende Kontrollfunktion und fügen Sie eine Überwachung für denselben Fehlermodus hinzu. Ziel ist es nicht nur, einen einzelnen Vorfall zu verhindern, sondern die Zeitspanne zwischen abnormalem Verhalten und automatisierter Reaktion beim nächsten Mal zu verkürzen.

Ältere SMS-Kampagnenmuster waren oft leicht zu erkennen: deutliche Spitzen im Nachrichtenverkehr und Häufungen ähnlicher Nummern. Diese Signale sind zwar immer noch nützlich, reichen aber allein nicht aus.

AIT kann sich über Zeiträume, Ziele, Mobilfunkanbieter, Geräte und Sitzungen erstrecken. Angreifer können zudem Teile legitimen Verhaltens imitieren. Daher sollte ein effektives Betrugspräventionsprogramm verschiedene Signale vergleichen: Datenverkehrsvolumen, Anfragegeschwindigkeit, Nummernmuster, geografische Herkunft, Konversionsrate, historische Vergleichswerte und den Kontext des missbrauchten Workflows.

Die effektivsten Kontrollmechanismen sind mehrstufig aufgebaut. Ratenbegrenzungen reduzieren das Missbrauchspotenzial. Risikobasierte Reibungsverluste erschweren die Automatisierung. Verifizierungsberichte decken die Diskrepanz zwischen gesendeten Nachrichten und Nutzern auf, die den Prozess tatsächlich abschließen. Informationen zu Zieladresse und Nummer liefern zusätzlichen Kontext, sofern dies wirtschaftlich gerechtfertigt ist.

SMS-Betrug ist letztendlich ein Problem künstlicher Nachfrage. Unternehmen bezahlen für Nachrichtenaktivitäten, die zwar plausibel erscheinen, um ins System zu gelangen, aber keinen echten Kunden repräsentieren.

Die beste Verteidigung ist daher nicht eine einzige perfekte Sperrliste. Vielmehr handelt es sich um einen Messaging-Workflow, der das normale Nutzerverhalten erkennt, feststellt, wenn der Datenverkehr diesem Verhalten nicht mehr entspricht, und reagieren kann, bevor künstliche Anfragen zu hohen Kosten führen.